Dreamweaver PHP登录注销的安全性如何？

Question

只是为了知识,我想知道使用Dreamweaver内置的PHP登录注销身份验证功能有多好？

它安全吗？

我总是使用会话,帖子和许多东西来构建登录系统,但是当我使用Dreamweaver时,它非常简单并且似乎是安全的.如果我开始使用它或传统的更好,仍然需要专家建议.我没有发现任何限制,只是想知道天气是否足够安全.

以下是Dreamweaver提供的代码: -

---

这是我的登录表单

---

<form action="<?php echo $loginFormAction; ?>" method="POST" target="_self">
    <input name="ecsuser" class="form-login" title="Username" value="" size="30"
    maxlength="2048" />

    <input name="ecspass" type="password" class="form-login" title="Password" 
    value="" size="30" maxlength="2048" />

    <?php if(!empty($ERRORMESSAGE)) echo '<div style="color:#FFF; 
    font-weight:bold;">'.$ERRORMESSAGE.'</div>'; ?>

    <input name="" type="submit" value="" />
</form>

---

这是我的错误处理代码.

---

<?php
if (isset($_GET['ERRORMESSAGE']))
{
    if($_GET['ERRORMESSAGE'] == 1)
    {
    global $ERRORMESSAGE;
    $ERRORMESSAGE = "Sorry! The username or password is incorrect, 
            Please try again.";
    }
}
?>

---

这是我的进一步代码

---

// Database Connection Include
<?php require_once('Connections/ecs.php'); ?>
<?php
if (!function_exists("GetSQLValueString")) {
function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "") 
{
  if (PHP_VERSION < 6) {
    $theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue;
  }

  $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue);

  switch ($theType) {
    case "text":
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
      break;    
    case "long":
    case "int":
      $theValue = ($theValue != "") ? intval($theValue) : "NULL";
      break;
    case "double":
      $theValue = ($theValue != "") ? doubleval($theValue) : "NULL";
      break;
    case "date":
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
      break;
    case "defined":
      $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue;
      break;
  }
  return $theValue;
}
}
?>
<?php
// *** Validate request to login to this site.
if (!isset($_SESSION)) {
  session_start();
}

$loginFormAction = $_SERVER['PHP_SELF'];
if (isset($_GET['accesscheck'])) {
  $_SESSION['PrevUrl'] = $_GET['accesscheck'];
}

if (isset($_POST['ecsuser'])) {
  $loginUsername=$_POST['ecsuser'];
  $password=md5($_POST['ecspass']);
  $MM_fldUserAuthorization = "";
  $MM_redirectLoginSuccess = "index.php";
  $MM_redirectLoginFailed = "login.php?ERRORMESSAGE=1";
  $MM_redirecttoReferrer = false;
  mysql_select_db($database_ecs, $ecs);

  $LoginRS__query=sprintf("SELECT username, password FROM student WHERE username=%s AND password=%s",
    GetSQLValueString($loginUsername, "text"), GetSQLValueString($password, "text")); 

  $LoginRS = mysql_query($LoginRS__query, $ecs) or die(mysql_error());
  $loginFoundUser = mysql_num_rows($LoginRS);
  if ($loginFoundUser) {
     $loginStrGroup = "";

    if (PHP_VERSION >= 5.1) {session_regenerate_id(true);} else {session_regenerate_id();}
    //declare two session variables and assign them
    $_SESSION['MM_Username'] = $loginUsername;
    $_SESSION['MM_UserGroup'] = $loginStrGroup;       

    if (isset($_SESSION['PrevUrl']) && false) {
      $MM_redirectLoginSuccess = $_SESSION['PrevUrl'];  
    }
    header("Location: " . $MM_redirectLoginSuccess );
  }
  else {
    header("Location: ". $MM_redirectLoginFailed );
  }
}
?>

另外,我想知道,我们需要采取哪些其他安全措施来构建高效的登录系统,并且上述代码是100%完美的,没有安全问题.

Answer 1

Is it secure?

不,我看到一些问题:

1)首先是XSS漏洞.当你这样回声时$_SERVER['PHP_SELF'],它需要被转义htmlspecialchars().如果您不这样做,攻击者可以创建链接,当点击该链接时,将窃取可用于在没有用户名和密码的情况下登录的会话cookie.请参阅:PHP_SELF和XSS

2)GetSQLValueString有问题.mysql_escape_string()如果mysql_real_escape_string()不存在,它会回落.你永远不应该回归mysql_escape_string().如果mysql_real_escape_string()不可用并且您依赖它来避免SQL注入,那么您的应用程序应该停止.在知道数据类型之前,此函数还在对数据进行转义.如果您使用的是intval(),floatval(),doubleval(),则不需要先执行mysql_real_escape_string().

我建议更改此项以使用MySQLi或PDO参数化查询,这些查询将自动为您处理转义.

MySQLi:http ://php.net/manual/en/mysqli.prepare.php PDO:http://us2.php.net/manual/en/book.pdo.php

3)成功登录时似乎正在尝试(并且失败)重定向到上一页.除非您对URL进行了硬编码或者您已经验证了用户提供的URL,否则永远不应重定向,如果不这样做,您可能容易受到打开重定向/网络钓鱼攻击.看起来有人可能试图通过添加false到if这里来解决这个问题:if (isset($_SESSION['PrevUrl']) && false) {这个语句永远不会评估true,所以保持它是毫无意义的.

4).看看这一行:

$LoginRS = mysql_query($LoginRS__query, $ecs) or die(mysql_error());

如果执行此查询时出现任何MySQL错误,应用程序将打印出完整的MySQL错误然后停止.这对尝试执行SQL注入攻击的任何人都非常有帮助.即使你已经获得SQL注入,这仍然会告诉你数据库结构的世界部分.您应该使用trigger_error()或执行自己的错误记录,但不要在生产/实时/公共系统中向用户显示它.

5).最后,可以在登录/退出表单上执行XSRF攻击.在提交登录/注销等操作时,您应该使用反XSRF令牌.请参阅:http://en.wikipedia.org/wiki/Cross-site_request_forgery